Take a Bite of the Reality Sandwich: Revisiting the Security of Progressive Message Authentication Codes
消息身份验证可保证在不受信任的通道上交换的消息的完整性。然而，为了实现这一目标，消息认证大大扩展了数据包的大小，这在受限的无线环境中尤其成问题。为了解决这个问题，渐进式消息身份验证提供了最初减少的完整性保护，通常足以在接收时处理消息。这种降低的安全性随后会随着后续消息的出现而不断提高，以维护传统完整性保护的强有力保证。然而，与以前的说法相反，我们在本文中表明，现有的渐进式消息认证方案是非常容易受到分组丢失引起的不良信道条件或干扰攻击。因此，我们认为有必要重新思考如何认证标签取决于周围的数据包的成功接收。为此，我们提出了R2-D2，它使用具有参数化安全保证的随机依赖关系来增加渐进式身份验证对数据包丢失的弹性。为了将我们的方法部署到资源受限的设备，我们引入了SP-MAC，它使用高效的XOR操作实现R2-D2。我们的评估表明，SP-MAC是弹性复杂的网络级攻击，并作为现有的，但不安全的，渐进式的消息认证方案的资源意识和快速。
2022-05-19 cs.CR
The (Un)suitability of Passwords and Password Managers in Virtual Reality
本研究针对VR领域传统密码认证的痛点，通过用户研究与认知走查评估密码管理器在VR中的适用性，指出其可用性提升但功能不完善，并提出改进VR认证系统的建议。
2025-03-24 cs.CR cs.HC
Evaluating the long-term viability of eye-tracking for continuous authentication in virtual reality
本研究评估眼动追踪在VR持续认证中的长期可行性，发现短期准确率高但长期显著下降，提出定期模型更新可恢复准确率，凸显重训练必要性。
2025-02-27 cs.CR
Using Motion Forecasting for Behavior-Based Virtual Reality (VR) Authentication
Clarkson University（克拉克森大学）
针对VR环境下基于行为的身份认证在任务初期短轨迹片段下性能不足的问题，提出基于Transformer预测用户未来运动轨迹用于认证的方法，在公开投球数据集上将EER平均降低23.85%。
2024-01-30 cs.CR cs.LG
Evaluating User Perception of Multi-Factor Authentication: A Systematic Review
传统的单因素身份认证的安全漏洞已经成为安全从业者和研究人员关注的主要问题。为了减少单点故障，新的和技术先进的多因素身份验证（MFA）工具已被开发作为安全解决方案。然而，这些工具的可用性和采用引起了人们的关注。一个明显的解决方案可以被视为进行用户研究，以创建更用户友好的MFA工具。为了了解更多信息，我们对最近发表的主要关注MFA技术的学术论文（N = 623）进行了系统的文献综述。虽然大多数这些论文（m = 300）提出了新的MFA工具，只有9.1%的论文进行了任何用户评价研究。我们对以用户为中心的研究（n = 57）的荟萃分析表明，研究人员发现，较低的采用率是不可避免的MFA，而回避是普遍的强制使用。此外，我们注意到在以用户为中心的研究中有几个报告和方法上的差异。我们确定了参与者招募的趋势，这表明了人口统计学偏见。
2019-08-16 cs.CR cs.CY cs.HC
Sign in the Air to Unlock: An Interface for authentication in Virtual and Augmented Reality Powered by Point-Voxel Cross-Attention Network
提出一种空中签名认证接口，利用点-体素交叉注意力网络（PV-Net）建模3D轨迹的局部运动与全局结构，在公开和自建数据集上实现低错误率，支持沉浸式环境中的自然交互认证。
2026-07-16 cs.CR cs.CV cs.HC
MusicID: A Brainwave-based User Authentication System for Internet of Things
我们提出了MusicID，智能设备的身份验证解决方案，使用音乐引起的脑波模式作为行为生物识别模式。我们实验评估MusicID使用从真实用户收集的数据，而他们正在听两种形式的音乐;一个流行的英文歌曲和个人最喜欢的歌曲。我们表明，超过98%的用户识别的准确性和超过97%的用户验证的准确性可以通过使用从4电极商品脑波耳机收集的数据来实现。我们进一步表明，单个电极能够提供约85%的准确度，并且使用两个电极提供约95%的准确度。正如用于冥想应用的商品脑感应耳机所示，我们相信在智能耳机中包括干EEG电极是可行的，并且MusicID有可能为即将到来的主要由增强现实（AR）/虚拟现实（VR）应用驱动的智能设备激增提供入口点和持续认证框架。
2020-06-02 cs.CR eess.SP
False Reality: Uncovering Sensor-induced Human-VR Interaction Vulnerability
本文首次系统分析针对VR系统的物理攻击，提出False Reality威胁，通过篡改传感器测量值欺骗用户感知并诱导有害行为，并通过攻击路径框架和实验验证了三种代表性路径。
2026-05-25 cs.CR cs.HC
Evaluation of Risk-based Re-Authentication Methods
基于风险的身份验证（RBA）是一种自适应安全措施，通过防止凭据填充、密码猜测或网络钓鱼攻击来提高基于密码的身份验证的安全性。RBA在登录期间监视额外的功能，如果观察到的功能值偏离登录历史记录中的正常值，则请求执行额外的身份验证步骤。在最先进的RBA重新身份验证部署中，用户会收到一封正文中带有数字代码的电子邮件，必须在在线服务上输入该数字代码。虽然这个过程对RBA的时间暴露和可用性有重大影响，但到目前为止还没有对这些方面进行研究。我们引入了两种RBA重新认证变体，它们分别使用基于链接的方法和基于代码的方法补充了事实标准。然后，我们提出了一个组间研究（N=592）的结果，以评估这三种方法。我们的观察结果表明，有可能加快RBA重新认证过程，而不会降低其安全属性或安全感知。然而，当第一次感知时，通过“魔术链接”的基于链接的重新认证使用户比基于代码的方法明显更焦虑。我们的评估强调了这样一个事实，即RBA重新认证不是一个统一的程序。我们总结了我们的发现并提出了建议。
2020-08-18 cs.CR cs.HC
VibHead: An Authentication Scheme for Smart Headsets through Vibration
本文提出了VibHead，一种基于振动的智能头显认证方案，通过CNN模型对振动信号特征进行分类，实现两步认证，在Microsoft HoloLens上实验显示其FAR和FRR均约为5%。
2023-06-29 cs.CR
A systematic literature review on Virtual Reality and Augmented Reality in terms of privacy, authorization and data-leaks
近年来，VR和AR已经成为一个百万富翁市场。随着这项新兴技术已经传播到各种企业，并在用户中迅速增加。解决这些技术可能带来的潜在隐私和安全问题至关重要。在这项研究中，我们讨论了VR和AR中隐私和安全的现状。我们分析可能的问题和风险。此外，我们将详细介绍AR和VR的一些主要问题和相关安全解决方案。此外，由于VR和AR认证是该问题研究最彻底的方面，因此我们专注于该领域已经完成的研究。
2022-12-09 cs.CR
MoSign: Challenge-Response Motion-Watermark Authentication for Anonymous Virtual-Reality Users
University of North Carolina at Charlotte（北卡罗来纳大学夏洛特分校）；Utah State University（犹他州立大学）
MoSign将数字水印重构为挑战-响应认证协议，在运动通道上嵌入密钥化消息，实现匿名VR用户的可验证身份认证，同时保持不可检测性并抵御重捕获攻击。
2026-09-25 cs.CR cs.CV cs.MM
From Perception to Protection: A Developer-Centered Study of Security and Privacy Threats in Extended Reality (XR)
本研究通过访谈23位XR开发者，发现开发决策与安全隐私威胁紧密相关但存在认知偏差，且现有缓解方法支持不足，进而提出可操作建议以改善XR开发中的安全与隐私。
2025-09-08 cs.CR cs.HC
A Signal Injection Attack Against Zero Involvement Pairing and Authentication for the Internet of Things
本研究首次成功对物联网零参与配对与认证（ZIPA）系统实施信号注入攻击，利用不安全空间信号泄漏影响安全空间环境的现实漏洞，攻破Schurmann & Sigg算法，在95 dBA下生成的密钥处于合法设备标准误差内。
2024-03-20 cs.CR
VRSafe: A Secure Virtual Keyboard to Mitigate Keystroke Inference in Virtual Reality
University of Pittsburgh（匹兹堡大学）
本文提出VRSafe虚拟键盘，通过引入虚假按键提高攻击者推断密码的难度，并设计恶意登录检测器，有效识别未经授权的登录尝试，实验表明其能显著降低键盘推断攻击的准确性。
2026-04-22 cs.CR
Biometrics in Extended Reality: A Review
Indian Institute of Technology Dharwad（达尔瓦德印度理工学院）；Norwegian University of Science and Technology (NTNU)（挪威科技大学）；AiBA AS（艾巴公司）
本文系统综述了扩展现实（XR）环境中的生物识别技术，涵盖生物识别模态、漏洞网关分类、逼真虚拟化身生成与验证、数据集及评估指标，并探讨了开放挑战与未来工作。
2024-11-14 cs.AI cs.CR cs.CV
Challenges and New Directions in Augmented Reality, Computer Security, and Neuroscience -- Part 1: Risks to Sensation and Perception
快速发展的AR技术在人类大脑和物理世界之间直接调解方面处于独特的地位。虽然这种紧密耦合为人类增强提供了巨大的机会，但由于潜在的对手，包括AR应用程序或设备本身，以及错误或事故，它也带来了新的风险。在本文中，我们开始探索增强现实对人类大脑的潜在风险。我们最初的重点是感官和知觉风险（例如，意外或恶意诱导的视觉适应，运动诱导的失明和光敏性癫痫），但类似的风险可能跨越较低和较高水平的人类大脑功能，包括认知，记忆和决策。虽然这些风险在早期的AR技术中还没有体现出来，但我们认为，由于AR与用户对物理世界的体验交互的丰富性和深度，这种风险在AR中是独一无二的危险。我们提出了一个框架，在计算机安全威胁建模的基础上，从概念上和实验上评估这种风险。我们工作的最终目标是帮助AR技术开发人员、研究人员和神经科学家在AR技术被广泛部署并成为真正对手的目标之前考虑这些问题。通过现在考虑和解决这些问题，我们可以帮助确保未来的AR技术能够充分发挥其积极的潜力。
2018-06-27 cs.CR
Future G Network's New Reality: Opportunities and Security Challenges
CSIRO Data61（澳大利亚联邦科学与工业研究组织数据61）
未来G网络通过ISAC技术构建网络物理环境，带来自主系统等新能力，但面临感知层安全威胁，需采用分层纵深防御策略并加强标准化与治理。
2025-10-10 cs.CR
SoK: A Systematic Review of Context- and Behavior-Aware Adaptive Authentication in Mobile Environments
本SoK研究针对移动环境下自适应认证方案零散、智能技术应用不一致的问题，系统分析2011年来41项相关研究，从七个维度梳理领域现状，揭示机器学习及相关AI方法的应用占比与发展趋势。
2025-07-06 cs.CR
Towards Understanding Connections between Security/Privacy Attitudes and Unlock Authentication
在这项研究中，我们研究了用户对移动设备及其上存储的数据的隐私和安全性的态度可能会影响解锁认证的强度，重点是Android的图形解锁模式。我们与Amazon Mechanical Turk（$N=750$）进行了一项在线研究，使用自我报告的解锁身份验证选项，以及对一组七个隐私/安全提示的Likert量表同意/不同意响应。然后，我们从多个维度分析了这些回答，包括李克特回答的直接平均值，以及使用主成分分析来揭示潜在因素。我们发现，对七个问题中的两个问题的答复证明是相关和重要的。这两个问题考虑了对移动设备上存储的数据的普遍关注的态度，以及对已知行为者未经授权访问数据的关注的态度。遗憾的是，无法得出更大的结论，以确定解锁认证强度（Pearson Rank $r=-0.08$，$p<0.1$）之间的联系的更广泛问题集的有效性。然而，我们的两个因素解决方案都暴露了人口统计学群体的反应差异，包括年龄，性别和居住类型。这项研究的结果表明，在移动设备上的隐私/安全的感知和感知的威胁之间可能存在联系，但需要更多的研究，特别是在制定更好的调查和测量技术的隐私/安全的态度，具体涉及到移动设备。
2018-02-01 cs.CR cs.CY cs.HC
Towards Zero-trust Security for the Metaverse
George Mason University（乔治梅森大学）
通过专注于用户之间的沉浸式互动，新兴的Metaverse可以被视为现有社交媒体的自然延伸。类似于传统的在线社交网络，在虚拟世界中存在许多安全和隐私问题（例如，对用户身份验证和冒充的攻击）。在本文中，我们开发了一个整体的研究议程零信任用户身份验证在社交虚拟现实（VR），早期原型的Metaverse。我们提出的研究包括四个具体步骤：研究基于生物特征的身份验证，适用于连续验证VR用户，利用联邦学习（FL）保护生物特征数据中的用户隐私，提高多模态数据连续VR身份验证的准确性，以及通过自适应VR身份验证提高零信任安全性的可用性。我们的初步研究表明，传统的FL算法不适合基于生物特征的VR用户身份验证，导致准确率低于10%。我们讨论了这个问题的根本原因，相关的开放性挑战，以及实现我们的研究愿景的几个未来方向。
2023-02-17 cs.CR cs.LG cs.NI
Knock, Knock. Who's There? On the Security of LG's Knock Codes
本文通过用户实验和模拟攻击评估 LG Knock Code 的安全性，发现其弱于 PIN 和 Android 图案，2x3 网格无额外安全收益，而黑名单机制能显著提升安全性且对可用性影响有限，因此建议部署黑名单。
2020-06-26 cs.CR cs.HC
Security and Privacy in Virtual Reality: A Literature Survey
本文综述了虚拟现实（VR）领域的隐私与安全问题，分类并分析了潜在威胁及其因果，重点探讨了VR认证研究，并概述了VR在网络安全教育和安全方案可用性评估等方面的应用。
2024-12-23 cs.CR
IllusionPIN: Shoulder-Surfing Resistant Authentication Using Hybrid Images
我们提出的IllusionPIN（IPIN），基于PIN的身份验证方法，操作在触摸屏设备上的肩膀冲浪攻击的身份验证方案的问题。IPIN使用混合图像技术将两个具有不同数字顺序的键盘混合在一起，使得靠近设备的用户看到一个键盘来输入她的PIN，而从更远距离观看设备的攻击者只看到另一个键盘。由于攻击者可能记住按下数字的空间排列，因此在每次身份验证尝试中都会打乱用户的键盘。要推理的安全性的IllusionPIN，我们开发了一种算法，这是基于人类的视觉感知和估计的最小距离，从观察者无法解释的键盘的用户。我们用来自21个不同人的84次模拟肩扛冲浪攻击来测试我们的估计。没有一次袭击是成功的，与我们的估计相反。此外，我们估计的最小距离，相机是无法捕捉到的视觉信息，从键盘的用户。根据我们的分析，当IPIN正在使用时，监控摄像头几乎不可能捕获智能手机用户的PIN。
2017-08-22 cs.CR
An End-to-End Authentication Mechanism for Wireless Body Area Networks
针对无线体域网中缺乏端到端认证且患者手机不可信的问题，提出一种传感器节点与医疗专家之间的端到端认证和会话密钥协商方案，并通过形式化与非形式化安全分析及仿真验证其安全性和网络性能。
2021-11-11 cs.CR
Eve Said Yes: AirBone Authentication for Head-Wearable Smart Voice Assistant
本文提出面向头戴式智能语音助手的两阶段 AirBone 认证，利用空气传导与骨传导的时域一致性及骨传导说话人特征，抵御声学和跨领域语音欺骗。
2023-09-26 cs.CR cs.HC eess.SP
2D-2FA: A New Dimension in Two-Factor Authentication
我们提出了一个双因素认证（2FA）机制称为2D-2FA，以解决现有方法中的安全性和可用性问题。2D-2FA具有三个显著特征：首先，用户在登录终端上输入用户名和密码后，将向其显示唯一的$\textit{identifier}$。她在其注册的2FA设备上使用相同的标识符$\textit{inputs}$，这确保了在认证过程中的适当参与。其次，在设备上计算一次性PIN，并将$\textit{automatically}$传输到服务器。因此，PIN可以具有非常高的熵，使得猜测攻击不可行。第三，标识符也被并入PIN计算中，这使得$\textit{concurrent attacks}$无效。第三方服务，如推送通知提供商和2FA服务提供商，不需要为系统的安全性提供信任。标识符的选择取决于设备形状因子和上下文。用户可以选择绘制图案，捕获QR码等，我们提供了一个概念实现的证明，并评估系统的性能，准确性和可用性。我们表明，该系统提供了一个较低的出错率（约一半）和更好的效率（2-3倍快）相比，常用的PIN-2FA。我们的研究表明，SUS为75的高可用性水平，以及对效率，安全性，准确性和可采用性的高感知。
2021-10-29 cs.CR
"Are Adversarial Phishing Webpages a Threat in Reality?" Understanding the Users' Perception of Adversarial Webpages
本文通过470人的两项用户研究评估合成与真实对抗性钓鱼网页，发现其对用户和ML-PWD均构成威胁，并揭示扰动类型及品牌网站访问频率对识别效果的影响。
2024-04-03 cs.CR
On Perception and Reality in Wireless Air Traffic Communications Security
在不同的飞行阶段，空中交通通信系统使用了十几种无线技术。从概念的角度来看，它们都是不安全的，因为安全性从来不是它们设计的一部分。学术界和黑客社区最近的贡献利用了这一固有的漏洞来展示对其中一些技术的攻击。然而，并非所有这些贡献都在航空界引起广泛共鸣。与此同时，安全界缺乏某些航空领域的知识，使航空当局无法相信他们的调查结果。在本文中，我们的目的是调和安全界的观点和航空专业人士的角度对空中交通通信技术的安全。为了实现这一点，我们首先提供了一个系统化的民用航空依赖的无线技术的应用。基于这些应用，我们全面分析了漏洞，攻击和对策。我们将现有的对策研究分为短期适用的方法和长期可部署的安全新技术的研究。由于并非所有必要的航空知识都编入学术出版物，我们还审查了现有的航空标准，并调查了242名国际航空专家。除了他们的领域知识，我们还分析了航空界成员对无线系统安全的认识，并收集了他们对使用这些技术的具体攻击场景的潜在影响的专家意见。
2016-10-24 cs.CR cs.CY
Challenges with Passwordless FIDO2 in an Enterprise Setting: A Usability Study
本文通过118名专业人员的可用性研究，识别了FIDO2在企业身份生命周期（如远程员工和遗留系统）集成中的挑战，发现账户恢复等严重差距，并为FIDO2社区确定了优先开发领域。
2023-09-13 cs.CR
End-Users' Knowledge and Perception about Security of Mobile Health Apps: A Case Study with Two Saudi Arabian mHealth Providers
移动健康应用程序（简称mHealth应用程序）在医疗保健领域越来越多地被采用，使政府、卫生单位、医生和患者等利益相关者能够以普遍的方式利用健康服务。尽管mHealth应用程序具有多项已知优势，但仍会带来重大的安全和隐私挑战，可能导致数据泄露，带来严重的社会、法律和经济后果。这项研究提出了一个实证调查的安全意识的最终用户的mHealth应用程序，可在主要的移动平台，包括Android和iOS。我们与沙特阿拉伯的两家移动医疗服务提供商合作，调查了101名最终用户，调查了他们对（i）现有和期望的安全功能，（ii）安全相关问题，以及（iii）提高安全知识的方法的安全意识。调查结果表明，大多数最终用户都知道应用程序提供的现有安全功能（例如，受限的应用程序许可）;然而，它们期望可用的安全性（例如，生物测定认证）并且关心他们的健康信息的隐私（例如，数据匿名化）。最终用户建议，会话超时或双因素身份验证（2FA）等协议对安全性有积极影响，但会影响应用程序的可用性。通过社交媒体，同行指导或应用程序提供商的培训提高安全意识可以增加最终用户对mHealth应用程序的信任。这项研究基于经验证据调查了以人为本的知识，并提供了一套指导方针，以开发安全和可用的mHealth应用程序。
2021-09-24 cs.CR cs.SE
CONClave -- Secure and Robust Cooperative Perception for CAVs Using Authenticated Consensus and Trust Scoring
Arizona State University（亚利桑那州立大学）
本文提出CONClave机制，通过紧耦合认证、共识与信任评分，以低开销实现对CAV协同感知的全面安全防护与故障检测，提升系统鲁棒性和准确性。
2024-09-04 cs.CR cs.MA cs.RO
Eye-tracked Virtual Reality: A Comprehensive Survey on Methods and Privacy Challenges
Technical University of Munich, School of Social Sciences and Technology, Department of Educational Sciences, Chair for Human-Centered Technologies for Learning（慕尼黑技术大学，社会科学与技术学院，教育科学系，人机学习中心）
本文综述了眼动追踪在虚拟现实中的方法和隐私挑战，探讨了眼动追踪在VR中的应用及其隐私影响。
2026-01-19 cs.AI cs.CR cs.GR
